Un investigador detalla la cadena de ataque de WhatsApp al host utilizando tres fallas de OpenClaw – CYBERDEFENSA.MX
admin Noticias, Trending
Un investigador detalla la cadena de ataque de WhatsApp al host utilizando tres fallas de OpenClaw – CYBERDEFENSA.MX

Han surgido detalles sobre tres ahora parcheados. fallas de seguridad en el asistente personal de inteligencia artificial (IA) OpenClaw que, si se explota con éxito, podría permitir el robo de credenciales, la escalada de privilegios y la ejecución de código arbitrario en el host.

Una breve descripción de las vulnerabilidades de alta gravedad es la siguiente:

  • GHSA-hjr6-g723-hmfm (Puntuación CVSS: 8,8): una inyección de comando del sistema operativo y una lista incompleta de vulnerabilidades de entradas no permitidas que afectan el mecanismo de filtrado del entorno de ejecución del host y que podrían permitir ejecutar o persistir acciones más allá de la autorización prevista de la persona que llama.
  • GHSA-9969-8g9h-rxwm (Puntuación CVSS: 8,8): una inyección de comando del sistema operativo y una lista incompleta de vulnerabilidades de entradas no permitidas que afectan el mecanismo de filtrado del entorno de ejecución del host y que podrían permitir ejecutar o persistir acciones más allá de la autorización prevista de la persona que llama.
  • GHSA-575v-8hfq-m3mc (Puntuación CVSS: 8,4): una vulnerabilidad de recorrido de ruta y seguimiento de enlace que podría permitir soportes de enlace de caja de arena para eludir las comprobaciones de la lista de denegados del directorio principal y realizar acciones que deberían haberse asegurado con autorizaciones o comprobaciones de políticas más estrictas.

Las tres deficiencias se han solucionado en la versión 2026.6.6 de OpenClaw.

En una serie de avisos publicados la semana pasada, los mantenedores de OpenClaw dijeron que «el impacto práctico depende de la configuración del operador y de si las entradas de menor confianza pueden llegar a ese camino».

Sin embargo, el investigador de seguridad Chinmohan Nayak, a quien se le atribuye haber descubierto e informado los problemas, dijo en un informe compartió con The Hacker News que se pueden usar para activar la ejecución del código host desde un mensaje externo enviado a través de WhatsApp.

A diferencia de las vulnerabilidades de Claw Chain reveladas por Cyera en mayo, los errores recientemente identificados no requieren que un atacante establezca un punto de apoyo previo para extraer datos confidenciales, abrir una puerta trasera persistente, obtener ejecución remota de código arbitrario y facilitar un escape al host.

«`getBlockedReasonForSourcePath()` comprueba si la ruta de origen se encuentra en una ruta bloqueada», explicó el investigador sobre GHSA-575v-8hfq-m3mc. «Pero [it] nunca comprueba lo contrario: si una ruta bloqueada se encuentra en el origen (omisión del directorio principal)».

Ciberseguridad

Específicamente, la lista de denegación de montaje de enlace bloquea directorios como «~/.ssh», «~/.aws» y «~/.gnupg», pero permite montar el directorio principal «/home» o «/var», lo que socava efectivamente los bloques individuales.

«Monte /home en su contenedor y podrá leer las claves SSH, las credenciales de AWS y los secretos GPG de cada usuario», dijo Nayak. «Monte /var y obtendrá el socket Docker, lo que significa un escape completo del host desde el interior del ‘sandbox’».

Además de actualizar OpenClaw a la última versión, se recomienda habilitar el modo sandbox para todas las sesiones no principales, eliminar «exec» de la lista de herramientas permitidas para agentes orientados al canal y monitorear los comandos git clone que contienen el protocolo auxiliar externo «ext::» del que se podría abusar para ejecutar comandos arbitrarios del sistema.

«Antes de actualizar, restrinja la función afectada a operadores confiables o desactívela cuando no sea necesaria», dijo OpenClaw. «Como refuerzo general, mantenga estrechas las listas permitidas de canales y herramientas, evite compartir una puerta de enlace entre usuarios que no sean de confianza mutua y desactive la función afectada cuando no sea necesaria».

Microsoft detalla la campaña de malware Windows Clipper utilizando el gusano USB LNK y C2 basado en Tor – CYBERDEFENSA.MX
admin Noticias, Trending
Microsoft detalla la campaña de malware Windows Clipper utilizando el gusano USB LNK y C2 basado en Tor – CYBERDEFENSA.MX

Microsoft ha revelado detalles de una campaña de eliminación de criptomonedas basada en Windows que se ha dirigido a los usuarios desde febrero de 2026.

«El clipper de esta campaña se basa en Windows Script Host y en la lógica impulsada por ActiveX para lanzar un proxy Tor incluido y sondear un servicio oculto C2. [command-and-control] servidor», el equipo de investigación de seguridad de Microsoft Defender dicho en un análisis publicado el martes. «Lleva a cabo robo de portapapeles de alta frecuencia, exfiltración de capturas de pantalla y sustitución de direcciones de billetera».

«La ejecución de este clipper es notable porque no depende de un instalador tradicional o de una infraestructura C2 basada en IP expuesta. En cambio, implementa un cliente Tor portátil, enruta el tráfico a través de un proxy SOCKS5 local y combina el robo de datos con la ejecución remota de código, convirtiendo a un ladrón con motivación financiera en una puerta trasera liviana».

Ciberseguridad

El malware Clipper se refiere a un tipo de software malicioso que monitorea silenciosamente el portapapeles de un usuario e intercepta datos confidenciales pegados en el búfer de corto plazo. Se dirige principalmente a las transacciones de criptomonedas sustituyendo cadenas de direcciones de billetera que coinciden con patrones de direcciones de blockchain conocidos para redirigirlas a direcciones bajo su control.

Los ataques implican la distribución de un archivo malicioso de acceso directo de Windows (LNK) a través de dispositivos de almacenamiento USB, cuya apertura activa un componente de gusano que verifica si la máquina ya está infectada y solo procede a buscar la carga útil de un servidor remoto si no está presente. Un segundo módulo implementado es el clipper que recolecta y extrae información de la billetera de criptomonedas.

La carga útil LNK escanea el dispositivo USB en busca de tipos de documentos comunes como DOC, XLSX y PDF y, si los encuentra, los oculta y crea nuevos archivos LNK con los mismos nombres de archivo y que contienen argumentos que se alinean con el componente del gusano. Por lo tanto, cuando un usuario desprevenido inicia el acceso directo pensando que está abriendo un documento inofensivo, se desencadena la ejecución del malware.

El componente del gusano, además de garantizar la propagación a otras unidades USB no comprometidas, implementa tareas programadas como una forma de persistencia tanto para el componente del gusano como para el componente ladrón. El cortapelos, por su parte, utiliza WScript y ActiveXObject para interactuar con el sistema operativo y sale si el Administrador de tareas se encuentra entre la lista de procesos en ejecución activa para evadir la detección.

En la etapa final, el malware lanza un binario Tor renombrado en una ventana oculta, genera un identificador de víctima único y lo registra en el servidor externo. Una vez que se completa este paso, el malware entra en un bucle continuo, sondeando periódicamente el servidor C2 en busca de instrucciones y al mismo tiempo monitorea el portapapeles cada 500 milisegundos para extraer frases iniciales y claves privadas.

Ciberseguridad

«También secuestra direcciones de criptomonedas reemplazando valores de billetera copiados con alternativas controladas por atacantes y carga capturas de pantalla a través de Tor», dijo Microsoft. «Si el C2 devuelve una respuesta EVAL, el malware ejecuta el código proporcionado por el atacante en tiempo de ejecución».

El gigante tecnológico ha recomendado que los defensores den prioridad a las detecciones de comportamiento sobre las firmas estáticas, buscando específicamente la captura de pantalla basada en PowerShell y el uso de WScript, CScript o motores de script relacionados para iniciar curl, cmd.exe, PowerShell o ejecutables inesperados.

Otras mitigaciones incluyen deshabilitar la ejecución automática/reproducción automática para todos los medios extraíbles, bloquear la ejecución de LNK desde unidades extraíbles a través de objetos de política de grupo (GPO), restringir el uso innecesario de wscript.exe o cscript.exe y revisar los comportamientos relacionados con el portapapeles y las capturas de pantalla en dispositivos que manejan flujos de trabajo financieros confidenciales.

El ataque a la cadena de suministro de Packagist infecta 8 paquetes utilizando malware de Linux alojado en GitHub – CYBERDEFENSA.MX
admin Noticias, Trending
El ataque a la cadena de suministro de Packagist infecta 8 paquetes utilizando malware de Linux alojado en GitHub – CYBERDEFENSA.MX

Una nueva campaña de ataque «coordinada» a la cadena de suministro ha afectado a ocho paquetes en empaquetador incluido código malicioso diseñado para ejecutar un binario de Linux recuperado de una URL de versiones de GitHub.

«Aunque los paquetes afectados eran todos paquetes de Composer, el código malicioso no se agregó a compositor.json», Socket dicho. «En cambio, se insertó en package.json, dirigido a proyectos que incluyen herramientas de compilación de JavaScript junto con código PHP».

Esta «ubicación entre ecosistemas» hace que la actividad se destaque porque los desarrolladores y equipos de seguridad que escanean las dependencias de PHP solo pueden centrarse en los metadatos relacionados con Composer, mientras omiten los ganchos del ciclo de vida de package.json que están incluidos en el paquete. Desde entonces, las versiones maliciosas se han eliminado de Packagist.

Ciberseguridad

Un análisis de los paquetes ha descubierto que sus repositorios ascendentes han sido modificados para incluir un script posterior a la instalación que intenta descargar un binario de Linux desde una URL de versiones de GitHub («github[.]com/parikhpreyash4/systemd-network-helper-aa5c751f»), guárdelo en la carpeta «/tmp/.sshd», cambie sus permisos usando «chmod» para otorgar permisos de ejecución a todos los usuarios y ejecútelo en segundo plano.

Los nombres de los paquetes y la versión afectada asociada se enumeran a continuación:

  • moritz-sauer-13/silverstripe-cms-theme (dev-master)
  • crosiersource/crosierlib-base (dev-master)
  • devdojo/wave (dev-principal)
  • devdojo/génesis (dev-main)
  • katanaui/katana (dev-principal)
  • elitedevsquad/sidecar-laravel (3.x-dev)
  • r2luna/cerebro (dev-principal)
  • baskarcm/tzi-chat-ui (dev-principal)

La investigación de Socket encontró referencias a la misma carga útil en 777 archivos en GitHub, lo que sugiere que podría ser parte de una campaña más amplia. en al menos dos instanciasse agregó a un flujo de trabajo de GitHub. Sin embargo, actualmente no se sabe cuántos de estos coinciden con distintos compromisos, bifurcaciones, artefactos de paquetes duplicados o referencias almacenadas en caché.

«Esto sugiere que el atacante no confiaba en un único mecanismo de ejecución. En los artefactos del paquete, la carga útil se activaba a través de scripts postinstalación package.json», dijo la firma de seguridad de aplicaciones. «En los archivos de flujo de trabajo, estaba posicionado para ejecutarse durante los trabajos de GitHub Actions».

Ciberseguridad

Es más, la naturaleza exacta de la carga útil descargada de GitHub no está clara, ya que cuenta GitHub asociado con el alojamiento del repositorio ya no está disponible. La elección del nombre «gvfsd-network» para el malware es interesante, ya que se refiere a un demonio del sistema de archivos virtual GNOME (GVfs). responsable para administrar y explorar recursos compartidos de red.

«Incluso sin el binario de segunda etapa, el instalador malicioso es suficiente para justificar el bloqueo», dijo Socket. «Proporciona ejecución remota de código durante la instalación o creación de flujos de trabajo e intenta ocultar su actividad desactivando la verificación TLS, suprimiendo errores y ejecutando un binario descargado en segundo plano».

Webworm implementa puertas traseras EchoCreep y GraphWorm utilizando Discord y MS Graph API – CYBERDEFENSA.MX
admin Noticias, Trending
Webworm implementa puertas traseras EchoCreep y GraphWorm utilizando Discord y MS Graph API – CYBERDEFENSA.MX

Los investigadores de ciberseguridad han detectado una nueva actividad de un actor de amenazas alineado con China conocido como gusano web en 2025, implementar puertas traseras personalizadas que emplean Discord y Microsoft Graph API para comunicaciones de comando y control (C2 o C&C).

Se estima que Webworm, documentado públicamente por primera vez por Symantec, propiedad de Broadcom, en septiembre de 2022, está activo desde al menos 2022, dirigido a agencias gubernamentales y empresas que abarcan los sectores de servicios de TI, aeroespacial y de energía eléctrica en Rusia, Georgia, Mongolia y varias otras naciones asiáticas.

Los ataques organizados por el grupo han aprovechado troyanos de acceso remoto (RAT) como Trochilus RAT, Gh0st RAT y 9002 RAT (también conocidos como Hydraq y McRat). Se dice que el actor de amenazas se superpone con grupos de nexo con China rastreados como FishMonger (también conocido como Aquatic Panda), Seis pequeños monosy Piratas Espaciales. SixLittleMonkeys es mejor conocido por implementar Gh0st RAT y un RAT llamado Mikroceen dirigido a entidades en Asia Central, Rusia, Bielorrusia y Mongolia.

Ciberseguridad

«En los últimos años, ha comenzado a avanzar hacia herramientas proxy existentes y personalizadas, que son más sigilosas que las puertas traseras completas», dijo el investigador de ESET Eric Howard. dicho. «En 2025, Webworm también agregó dos nuevas puertas traseras a su conjunto de herramientas: EchoCreep, que usa Discord para la comunicación C&C, y GraphWorm, que usa Microsoft Graph API para el mismo propósito».

Detrás de estos esfuerzos está el uso de un repositorio de GitHub que se hace pasar por una bifurcación de WordPress («github[.]com/anjsdgasdf/WordPress») como escenario para malware y herramientas como SoftEther VPN en un esfuerzo por pasar desapercibido y pasar desapercibido. La dependencia de SoftEther VPN es un Enfoque probado y probado adoptado por varios grupos de hackers chinos.

En los últimos dos años, se ha observado que el adversario se aleja de las puertas traseras tradicionales hacia utilidades (semi)legítimas como los proxy SOCKS, al tiempo que se centra cada vez más en países europeos, incluidas organizaciones gubernamentales en Bélgica, Italia, Serbia, Polonia y España, y una universidad local en Sudáfrica.

El descubrimiento de EchoCreep y GraphWorm marca una expansión del arsenal de Webworm, incluso cuando Trochilus y 9002 RAT parecen haber sido abandonados por el actor de amenazas. Otras herramientas destacadas son iox y soluciones de proxy personalizadas como WormFrp, ChainWorm, SmuxProxy y WormSocket. Se ha descubierto que WormFrp recupera configuraciones de un depósito de Amazon S3 comprometido.

«Estas herramientas de proxy personalizadas no sólo son capaces de cifrar comunicaciones, sino que también admiten el encadenamiento entre múltiples hosts, tanto interna como externamente a una red», dijo ESET. «Creemos que los operadores utilizan estas herramientas junto con SoftEther VPN para cubrir mejor sus huellas y aumentar el sigilo de sus actividades».

EchoCreep admite la carga/descarga de archivos y la ejecución de comandos a través de capacidades «cmd.exe», mientras que GraphWorm es una puerta trasera más avanzada que puede generar una nueva sesión «cmd.exe», ejecutar un proceso recién creado, cargar y descargar archivos hacia y desde Microsoft OneDrive y detener su propia ejecución después de recibir una señal de los operadores.

Un análisis del canal Discord aprovechado por EchoCreep como C2 muestra que los primeros comandos se enviaron ya el 21 de marzo de 2024. En total, se enviaron 433 mensajes de Discord a través del servidor C2.

Actualmente se desconoce exactamente cómo se entregan estas puertas traseras y la vía de acceso inicial utilizada por Webworm. Sin embargo, se ha descubierto que el atacante utiliza utilidades de código abierto como dirsearch y nuclei para forzar los archivos y directorios del servidor web de la víctima con fuerza bruta y buscar vulnerabilidades en su interior.

Ciberseguridad

La divulgación se produce como Cisco Talos arrojar luz en una variante de BadIIS que probablemente se vende o comparte entre múltiples grupos de ciberdelincuentes de habla china bajo un modelo de malware como servicio (MaaS) diseñado para la monetización continua. Se cree que la oferta ha estado en desarrollo desde al menos el 30 de septiembre de 2021.

El mismo autor de malware, que opera bajo el alias «lwxat», también ha puesto a disposición un conjunto de herramientas complementarias, incluidos instaladores basados ​​en servicios, cuentagotas y mecanismos de persistencia que automatizan la implementación, garantizan la capacidad de supervivencia en los reinicios del servidor IIS y evitan la detección.

El servicio ofrece una herramienta de creación dedicada que «permite a los actores de amenazas generar archivos de configuración, personalizar cargas útiles e inyectar parámetros en los binarios de BadIIS, lo que permite capacidades que incluyen la redirección de tráfico a sitios ilícitos, proxy inverso para la manipulación de rastreadores de motores de búsqueda, secuestro de contenido e inyección de vínculos de retroceso para fraude malicioso de optimización de motores de búsqueda (SEO)», dijo el investigador de Talos, Joey Chen.

El esquema de fraude publicitario de Trapdoor en Android alcanzó 659 millones de solicitudes de ofertas diarias utilizando 455 aplicaciones
admin Noticias, Trending
El esquema de fraude publicitario de Trapdoor en Android alcanzó 659 millones de solicitudes de ofertas diarias utilizando 455 aplicaciones

Investigadores de ciberseguridad han revelado detalles de una nueva operación de fraude publicitario y publicidad maliciosa denominada Trampa Dirigido a usuarios de dispositivos Android.

La actividad, según el equipo de investigación e inteligencia de amenazas Satori de HUMAN, abarcó 455 aplicaciones maliciosas de Android y 183 dominios de comando y control (C2) propiedad de actores de amenazas, lo que convirtió la infraestructura en un canal para el fraude en múltiples etapas.

«Los usuarios, sin saberlo, descargan una aplicación propiedad de un actor de amenazas, a menudo una aplicación de estilo utilidad como un visor de PDF o una herramienta de limpieza de dispositivos», investigadores Louisa Abel, Ryan Joye, João Marques, João Santos y Adam Sell detallado en un informe compartido con The Hacker News.

«Estas aplicaciones desencadenan campañas de publicidad maliciosa que obligan a los usuarios a descargar aplicaciones adicionales propiedad de los actores de amenazas. Las aplicaciones secundarias lanzan WebViews ocultas, cargan dominios HTML5 propiedad de los actores de amenazas y solicitan anuncios».

Ciberseguridad

La campaña, añadió la empresa de ciberseguridad, es autosostenible en el sentido de que la instalación orgánica de una aplicación se convierte en un ciclo de generación de ingresos ilícitos que puede utilizarse para financiar campañas de publicidad maliciosa posteriores. Un aspecto notable de la actividad es el uso de sitios de retiro de efectivo basados ​​en HTML5, un patrón observado en grupos de amenazas anteriores rastreados como SlopAds, Low5 y BADBOX 2.0.

En el punto álgido de la operación, Trapdoor representó 659 millones de solicitudes de oferta por día, y las aplicaciones de Android vinculadas al esquema se descargaron más de 24 millones de veces. El tráfico asociado con la campaña se originó principalmente en EE. UU., que representó más de las tres cuartas partes del volumen de tráfico.

«Los actores de amenazas detrás de Trapdoor también abusan de las herramientas de atribución de instalación (tecnología diseñada para ayudar a los vendedores legítimos a rastrear cómo los usuarios descubren aplicaciones) para permitir comportamiento malicioso solo en usuarios adquiridos a través de campañas publicitarias dirigidas por actores de amenazas, mientras lo suprimen para descargas orgánicas de las aplicaciones asociadas», dijo HUMAN.

Trapdoor combina dos enfoques dispares, distribución de publicidad maliciosa y monetización de fraude publicitario oculto, donde los usuarios desprevenidos terminan descargando aplicaciones falsas disfrazadas de utilidades aparentemente inofensivas que actúan como un conducto para publicar anuncios maliciosos para otras aplicaciones de Trapdoor, que están diseñadas para realizar fraude táctil automatizado, así como para lanzar WebViews ocultos, cargar dominios de lavado controlados por actores de amenazas y solicitar anuncios.

Vale la pena señalar que solo se utiliza la aplicación de segunda etapa para desencadenar el fraude. Una vez que se inicia la aplicación descargada orgánicamente, muestra alertas emergentes falsas que imitan los mensajes de actualización de la aplicación para engañar a los usuarios para que instalen la aplicación de la siguiente etapa.

Este comportamiento también indica que la carga útil se activa sólo para aquellos que son víctimas de la campaña publicitaria. En otras palabras, cualquiera que descargue la aplicación directamente desde Play Store o la descargue no será el objetivo. Además de esta técnica de activación selectiva, Trapdoor emplea varias técnicas de antianálisis y ofuscación para eludir la detección.

«Esta operación utiliza software real y cotidiano y múltiples técnicas de ofuscación y antianálisis, como hacerse pasar por SDK legítimos para integrarse, para ayudar a fusionar la distribución de publicidad maliciosa, la monetización del fraude publicitario oculto y la distribución de malware en múltiples etapas», dijo Lindsay Kaye, vicepresidenta de inteligencia de amenazas de HUMAN.

Ciberseguridad

Tras una divulgación responsable, Google ha tomado medidas para eliminar todas las aplicaciones maliciosas identificadas de Google Play Store, neutralizando efectivamente la operación. La lista completa de aplicaciones de Android está disponible aquí.

«Trapdoor muestra cómo los estafadores decididos convierten las instalaciones cotidianas de aplicaciones en un canal de autofinanciación para publicidad maliciosa y fraude publicitario», dijo Gavin Reid, director de seguridad de la información de HUMAN. «Este es otro ejemplo de actores de amenazas que cooptan herramientas legítimas, como el software de atribución, para ayudar en sus campañas de fraude y ayudarles a evadir la detección».

«Al encadenar aplicaciones de utilidad, dominios de retiro HTML5 y técnicas de activación selectiva que se esconden de los investigadores, estos actores están en constante evolución, y nuestro equipo de Satori está comprometido a rastrearlos e interrumpirlos a escala».

Harvester implementa la puerta trasera GoGra de Linux en el sur de Asia utilizando la API Microsoft Graph – CYBERDEFENSA.MX
admin Noticias, Trending
Harvester implementa la puerta trasera GoGra de Linux en el sur de Asia utilizando la API Microsoft Graph – CYBERDEFENSA.MX

El actor de amenazas conocido como Segador se ha atribuido a una nueva versión Linux de su GoGra puerta trasera desplegada como parte de ataques probablemente dirigidos a entidades en el sur de Asia.

«El malware utiliza la API legítima de Microsoft Graph y los buzones de correo de Outlook como un canal encubierto de comando y control (C2), lo que le permite eludir las defensas tradicionales de la red perimetral», dijo el equipo Symantec y Carbon Black Threat Hunter. dicho en un informe compartido con The Hacker News.

La empresa de ciberseguridad dijo que identificó artefactos cargados en la plataforma VirusTotal desde India y Afganistán, lo que sugiere que los dos países pueden ser el objetivo de la actividad de espionaje.

Ciberseguridad

Symantec documentó públicamente por primera vez a Harvester a finales de 2021, vinculándolo con una campaña de robo de información dirigida a los sectores de telecomunicaciones, gobierno y tecnología de la información en el sur de Asia desde junio de 2021, utilizando un implante personalizado llamado Graphon que utilizaba la API Microsoft Graph para C2.

La actividad posterior señalada en agosto de 2024 conectó al grupo de piratas informáticos con un ataque dirigido a una organización de medios anónima en el sur de Asia con una puerta trasera basada en Go nunca antes vista llamada GoGra. Los últimos hallazgos sugieren que el adversario continúa expandiendo su conjunto de herramientas más allá de Windows e infectando máquinas Linux con una nueva variante de la misma puerta trasera.

Los ataques emplean ingeniería social para engañar a las víctimas para que abran archivos binarios ELF disfrazados de documentos PDF. Luego, el cuentagotas procede a mostrar un documento señuelo mientras abre sigilosamente la puerta trasera.

Al igual que su contraparte de Windows, la versión Linux de GoGra abusa de la infraestructura de la nube de Microsoft para comunicarse con una carpeta específica del buzón de correo de Outlook llamada «Zomato Pizza» cada dos segundos mediante consultas del Protocolo de datos abierto (OData). La puerta trasera escanea la bandeja de entrada en busca de mensajes de correo electrónico entrantes con una línea de asunto que comienza con la palabra «Entrada».

Ciberseguridad

Una vez que se recibe un correo electrónico que coincide con los criterios, descifra el cuerpo del mensaje codificado en Base64 y lo ejecuta como comandos de shell usando «/bin/bash». Los resultados de la ejecución se envían al operador en un mensaje de correo electrónico con el asunto «Salida». Una vez completado el paso de exfiltración, el implante borra el mensaje de tarea original para cubrir las huellas.

«A pesar de utilizar diferentes arquitecturas de implementación y sistemas operativos, la lógica subyacente de C2 permanece sin cambios», dijeron Symantec y Carbon Black, y agregaron que los equipos «también identificaron varios errores ortográficos codificados y coincidentes en ambas plataformas, lo que apunta a que el mismo desarrollador está detrás de ambas herramientas».

«El uso de una nueva puerta trasera de Linux muestra que Harvester continúa expandiendo su conjunto de herramientas y desarrollando activamente nuevas herramientas para atacar a una gama más amplia de víctimas y máquinas».

La botnet PowMix recientemente descubierta ataca a los trabajadores checos utilizando tráfico C2 aleatorio – CYBERDEFENSA.MX
admin Noticias, Trending
La botnet PowMix recientemente descubierta ataca a los trabajadores checos utilizando tráfico C2 aleatorio – CYBERDEFENSA.MX

Investigadores de ciberseguridad han advertido sobre una campaña maliciosa activa dirigida a la fuerza laboral en la República Checa con una botnet previamente indocumentada denominada mezcla de polvo desde al menos diciembre de 2025.

«PowMix emplea intervalos aleatorios de balizas de comando y control (C2), en lugar de una conexión persistente al servidor C2, para evadir las detecciones de firmas de red», dijo Chetan Raghuprasad, investigador de Cisco Talos. dicho en un informe publicado hoy.

«PowMix incorpora los datos de latidos cifrados junto con identificadores únicos de la máquina víctima en las rutas URL de C2, imitando las URL de API REST legítimas. PowMix tiene la capacidad de actualizar dinámicamente de forma remota el nuevo dominio C2 al archivo de configuración de la botnet».

La cadena de ataque comienza con un archivo ZIP malicioso, probablemente entregado a través de un correo electrónico de phishing, para activar una cadena de infección de varias etapas que elimina PowMix. Específicamente, se trata de un acceso directo de Windows (LNK) que se utiliza para iniciar un cargador de PowerShell, que luego extrae el malware incrustado en el archivo, lo descifra y lo ejecuta en la memoria.

Ciberseguridad

La botnet nunca antes vista está diseñada para facilitar el acceso remoto, el reconocimiento y la ejecución remota de código, al tiempo que establece persistencia mediante una tarea programada. Al mismo tiempo, verifica el árbol de procesos para garantizar que no se esté ejecutando otra instancia del mismo malware en el host comprometido.

La lógica de gestión remota de PowMix le permite procesar dos tipos diferentes de comandos enviados desde el servidor C2. Cualquier respuesta sin prefijo # hace que PowMix cambie al modo de ejecución arbitrario y descifre y ejecute la carga útil obtenida.

  • #KILL, para iniciar una rutina de autoeliminación y borrar rastros de todos los artefactos maliciosos
  • #HOST, para habilitar la migración de C2 a una nueva URL del servidor.

Paralelamente, también abre un documento señuelo con señuelos con temática de cumplimiento como mecanismo de distracción. Los documentos señuelo hacen referencia a marcas legítimas como Edeka e incluyen datos de compensación y referencias legislativas válidas, potencialmente en un esfuerzo por mejorar su credibilidad y engañar a los destinatarios, como los aspirantes a empleo.

Talos dijo que la campaña comparte cierto nivel de superposición táctica con una campaña denominada ZipLine que Check Point reveló a fines de agosto de 2025 como dirigida a empresas de fabricación críticas para la cadena de suministro con un malware en memoria llamado MixShell.

Esto incluye el uso de la misma entrega de carga útil basada en ZIP, la persistencia de tareas programadas y el abuso de Heroku para C2. Dicho esto, no se han observado cargas útiles finales más allá del propio malware botnet, lo que deja sin respuesta preguntas sobre sus motivos exactos.

«PowMix evita conexiones persistentes al servidor C2», dijo Talos. «En su lugar, implementa una fluctuación a través del comando Get-Random PowerShell para variar los intervalos de baliza inicialmente entre 0 y 261 segundos, y posteriormente entre 1.075 y 1.450 segundos. Esta técnica intenta evitar la detección de tráfico C2 a través de firmas de red predecibles».

La divulgación se produce cuando Bitsight arroja luz sobre la cadena de infección asociada con la botnet RondoDox, destacando las capacidades en evolución del malware para extraer criptomonedas ilícitamente en sistemas infectados usando XMRig además de la funcionalidad de ataque de denegación de servicio distribuido (DDoS) existente.

Ciberseguridad

Los hallazgos pintan la imagen de un malware mantenido activamente que ofrece evasión mejorada, mayor resistencia, eliminación agresiva de la competencia y un conjunto de funciones ampliado.

RondoDox es capaz de explotar más de 170 vulnerabilidades conocidas en varias aplicaciones conectadas a Internet para obtener acceso inicial y soltar un script de shell que realiza un antianálisis básico y elimina el malware de la competencia antes de soltar el binario de botnet apropiado para la arquitectura.

El malware «realiza múltiples comprobaciones e implementa técnicas para obstaculizar el análisis, que incluyen el uso de nanomites, cambiar el nombre/eliminar archivos, eliminar procesos y comprobar activamente si hay depuradores durante la ejecución», dijo el científico investigador principal de Bitsight, João Godinho. dicho.

«El robot es capaz de ejecutar ataques DoS en Internet, en la capa de transporte y de aplicación, dependiendo del comando y los argumentos emitidos por el C2».

El phishing de Casbaneiro se dirige a América Latina y Europa utilizando señuelos PDF dinámicos – CYBERDEFENSA.MX
admin Noticias, Trending
El phishing de Casbaneiro se dirige a América Latina y Europa utilizando señuelos PDF dinámicos – CYBERDEFENSA.MX

Una campaña de phishing de múltiples frentes está dirigida a usuarios de habla hispana en organizaciones de América Latina y Europa para entregar troyanos bancarios de Windows como Casbaneiro (también conocido como Metamorfo) a través de otro malware llamado Horabot.

La actividad se ha atribuido a un actor brasileño de amenazas de delitos cibernéticos rastreado como Augmented Marauder y Water Saci. Trend Micro documentó por primera vez al grupo de delitos electrónicos en octubre de 2025.

«Este grupo de amenazas emplea un modelo de ataque de mayor alcance centrado en un mecanismo de entrega y propagación personalizado que incluye WhatsApp, técnicas ClickFix y phishing centrado en el correo electrónico», dijeron los investigadores de seguridad de BlueVoyant, Thomas Elkins y Joshua Green. dicho en un desglose técnico publicado el martes.

Ciberseguridad

«Ahora es evidente que, si bien estos operadores con sede en Brasil aprovechan en gran medida la automatización de WhatsApp basada en scripts para comprometer a los usuarios minoristas y consumidores en América Latina, al mismo tiempo mantienen e implementan un motor avanzado de secuestro de correo electrónico para penetrar los perímetros empresariales allí y también en Europa».

El punto de partida de la campaña es un correo electrónico de phishing que emplea mensajes con temas de citaciones judiciales para engañar a los destinatarios para que abran un archivo PDF adjunto protegido con contraseña. Al hacer clic en un enlace incrustado en el documento, la víctima dirige a un enlace malicioso e inicia una descarga automática de un archivo ZIP, lo que, a su vez, conduce a la ejecución de la aplicación HTML provisional (HTA) y cargas útiles VBS.

El script VBS está diseñado para llevar a cabo comprobaciones ambientales y antianálisis similares a las que se encuentran en los artefactos de Horabot, incluidas comprobaciones del software antivirus Avast, y procede a recuperar las cargas útiles de la siguiente etapa desde un servidor remoto. Entre los archivos descargados se encuentran cargadores basados ​​en AutoIt, cada uno de los cuales extrae y ejecuta archivos de carga útil cifrados con extensiones «.ia» o «.at» para eventualmente lanzar dos familias de malware: Casbaneiro («staticdata.dll») y Horabot («at.dll»).

Si bien Casbaneiro es la carga útil principal, Horabot se utiliza como mecanismo de propagación del malware. El módulo Delphi DLL de Casbaneiro se pone en contacto con un servidor de comando y control (C2) para obtener un script de PowerShell que emplea Horabot para distribuir el malware a través de correos electrónicos de phishing a contactos recopilados de Microsoft Outlook.

«En lugar de distribuir un archivo estático o un enlace codificado como se ve en campañas anteriores de Horabot, este script inicia una solicitud HTTP POST a una API PHP remota (hxxps://tt.grupobedfs[.]com/…/gera_pdf.php), pasando un PIN de cuatro dígitos generado aleatoriamente», dijo BlueVoyant.

«El servidor falsifica dinámicamente un PDF personalizado, protegido con contraseña, que se hace pasar por una citación judicial española, que se devuelve al host infectado. Luego, el script recorre la lista de correo electrónico filtrada, utilizando la propia cuenta de correo electrónico del usuario comprometido para enviar un correo electrónico de phishing personalizado con el PDF recién generado adjunto».

También se utiliza en conjunto una DLL secundaria relacionada con Horabot («at.dll») que funciona como una herramienta de spam y secuestro de cuentas dirigida a cuentas de Yahoo, Live y Gmail para enviar correos electrónicos de phishing a través de Outlook. Horabot es Se estima que se utilizará en ataques dirigidos a América Latina desde al menos noviembre de 2020.

Ciberseguridad

Water Saci tiene un historial de uso de WhatsApp Web como vector de distribución para difundir troyanos bancarios como Maverick y Casbaneiro en forma de gusano. Sin embargo, las campañas recientes destacadas por Kaspersky han apalancado la táctica de ingeniería social de ClickFix para engañar a los usuarios para que ejecuten archivos HTA maliciosos con el objetivo final de implementar Casbaneiro y el esparcidor Horabot.

«En conjunto, la integración de la ingeniería social de ClickFix, junto con la generación dinámica de PDF y la automatización de WhatsApp, demuestra un adversario ágil que continuamente innova y ejecuta diversas rutas de ataque para eludir los controles de seguridad modernos», concluyeron los investigadores.

«Este adversario mantiene una infraestructura de ataque bifurcada y de múltiples frentes, implementando dinámicamente la cadena Maverick centrada en WhatsApp y utilizando simultáneamente rutas de ataque ClickFix y Horabot basadas en correo electrónico».

Tres razones por las que los atacantes están utilizando sus herramientas confiables en su contra (y por qué no lo ve venir) – CYBERDEFENSA.MX
admin Noticias, Trending
Tres razones por las que los atacantes están utilizando sus herramientas confiables en su contra (y por qué no lo ve venir) – CYBERDEFENSA.MX

Durante años, la ciberseguridad ha seguido un modelo familiar: bloquear el malware, detener el ataque. Ahora, los atacantes pasan a lo que sigue.

Los actores de amenazas ahora usan malware con menos frecuencia en favor de lo que ya está dentro de su entorno, incluido el abuso de herramientas confiables, archivos binarios nativos y utilidades de administración legítimas para moverse lateralmente, escalar privilegios y persistir sin generar alarmas. La mayoría de las organizaciones no ven este riesgo hasta que el daño ya está hecho.

Para ayudar a visualizar este desafío, considere un complemento Evaluación de la superficie de ataque interno — una forma guiada y sencilla de ver dónde las herramientas confiables pueden estar funcionando en su contra.

Ahora, veamos cómo opera este riesgo dentro de su entorno y tres razones por las que los atacantes prefieren usar sus propias herramientas en su contra.

1. La mayoría de los ataques ya no parecen ataques

Los actores de amenazas prefieren ataques que no parezcan ataques.

Un análisis reciente de más de 700.000 incidentes de alta gravedad muestra una cambio claro: El 84% de los ataques ahora abusan de herramientas legítimas para evadir la detección. Ésta es la esencia de Vivir de la Tierra (LOTL).

Ciberseguridad

En lugar de soltar cargas útiles que activan alertas, los atacantes utilizan herramientas integradas como PowerShell, WMIC y Certutil, las mismas herramientas en las que su equipo de TI confía todos los días. Estas acciones se mezclan con las operaciones normales, lo que hace extremadamente difícil distinguir entre uso legítimo e intención maliciosa.

El resultado es un peligroso punto ciego. Los equipos de seguridad ya no solo buscan «archivos malos». Están tratando de interpretar el comportamiento, a menudo en tiempo real, bajo presión y sin un contexto completo.

Y cuando algo parece claramente mal, el atacante ya está muy dentro del entorno.

2. Su superficie de ataque es mayor de lo que cree y, en su mayor parte, no está administrada

Los atacantes buscan herramientas no administradas que usted ya tenga.

Considere un sistema Windows 11 limpio.

Fuera de la caja, incluye cientos de binarios nativos – muchos de los cuales pueden ser objeto de abuso para ataques LOTL. Estas herramientas son confiables de forma predeterminada, están integradas en el sistema operativo y, a menudo, son necesarias para tareas legítimas o funcionalidad de aplicaciones.

Eso crea algunos desafíos fundamentales.

  • No puedes simplemente bloquearlos sin interrumpir los flujos de trabajo.
  • No es posible monitorearlos fácilmente sin generar ruido.
  • En la mayoría de los casos, no sabes hasta qué punto son accesibles en toda tu organización.

Los análisis muestran que hasta el 95% del acceso a herramientas riesgosas es innecesario. Un factor es el acceso incontrolado a estas herramientas; otra es permitirles realizar todas las funciones de las que son capaces, incluidas funciones que rara vez utiliza la TI pero que los atacantes utilizan con frecuencia.

Cada permiso innecesario se convierte en una ruta de ataque potencial. Y cuando los atacantes no necesitan introducir nada nuevo, tus defensas ya están en desventaja.

3. La detección por sí sola no puede seguir el ritmo

La detección es tan fuerte que los atacantes buscan alternativas.

EDR y XDR son fundamentales y muy eficaces para detectar malware y amenazas que se destacan de la actividad normal. Sin embargo, la detección se está convirtiendo cada vez más en un ejercicio de interpretación a medida que los actores de amenazas abusan de herramientas legítimas para mezclarse. ¿Es legítimo ese comando de PowerShell? ¿Se espera la ejecución de ese proceso?

Ahora agregue velocidad.

Los ataques modernos, cada vez más asistidos por IA, se mueven más rápido de lo que los equipos pueden investigar. Cuando se confirma el comportamiento sospechoso, es posible que ya se haya establecido el movimiento lateral y la persistencia. Por eso ya no basta con confiar únicamente en la detección.

Lo que le falta a la mayoría de los equipos: visibilidad de la superficie de ataque interna

Si comprender el alcance de su superficie de ataque interna parece algo que debe investigar, tiene razón. Pero la mayoría de los equipos carecen del tiempo o los recursos para mapear los detalles.

  • ¿A qué herramientas se puede acceder en toda la organización?
  • ¿Dónde el acceso es excesivo o innecesario?
  • ¿Cómo se traducen esos patrones de acceso en rutas de ataque reales?
Ciberseguridad

Incluso cuando el riesgo se entiende conceptualmente, demostrarlo y priorizarlo es difícil. Por eso este problema persiste.

De reactivo a proactivo: comience con conocimiento

Cerrar esta brecha no comienza con agregar otra herramienta. Comienza con comprender su verdadero riesgo.

El Bitdefender Evaluación gratuita de la superficie de ataque interno le proporcionará una vista clara, basada en datos, de cuán expuesto está debido a sus herramientas confiables, para que pueda ver claramente el alcance de su superficie de ataque interna. Esta evaluación guiada se centra en identificar el acceso innecesario, descubrir riesgos reales y proporcionar recomendaciones priorizadas, sin interrumpir a sus usuarios ni agregarle gastos operativos.

Vea su entorno como lo hacen los atacantes

Los ataques LOTL se están convirtiendo en la opción predeterminada. Esto significa que el riesgo más importante es el que ya existe en su entorno, y cuanto antes comprenda cómo los atacantes pueden moverse a través de sus sistemas utilizando herramientas confiables, antes podrá reducir esas vías y evitar un ataque exitoso.

¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en noticias de google, Gorjeo y LinkedIn para leer más contenido exclusivo que publicamos.

Los anuncios de búsqueda de impuestos generan malware ScreenConnect utilizando el controlador de Huawei para deshabilitar EDR – CYBERDEFENSA.MX
admin Noticias, Trending
Los anuncios de búsqueda de impuestos generan malware ScreenConnect utilizando el controlador de Huawei para deshabilitar EDR – CYBERDEFENSA.MX

Se ha observado una campaña de publicidad maliciosa a gran escala activa desde enero de 2026 dirigida a personas con sede en EE. UU. que buscan documentos relacionados con impuestos para servir a instaladores fraudulentos de ConnectWise ScreenConnect que colocan una herramienta llamada HwAudKiller para cegar los programas de seguridad utilizando la técnica «traiga su propio controlador vulnerable» (BYOVD).

«La campaña abusa de Google Ads para ofrecer instaladores maliciosos de ScreenConnect (ConnectWise Control), y en última instancia entrega un asesino BYOVD EDR que coloca un controlador de kernel para cegar las herramientas de seguridad antes de comprometerlas aún más», Anna Pham, investigadora de Huntress. dicho en un informe publicado la semana pasada.

El proveedor de ciberseguridad dijo que identificó más de 60 casos de sesiones maliciosas de ScreenConnect vinculadas a la campaña. La cadena de ataques se destaca por un par de razones. A diferencia de campañas recientes destacadas por Microsoft que aprovechan señuelos con temas impositivos, la actividad recientemente señalada emplea servicios de encubrimiento comerciales para evitar la detección por escáneres de seguridad y abusa de un controlador de audio de Huawei previamente no documentado para desarmar las soluciones de seguridad.

Ciberseguridad

Los objetivos exactos de la campaña no están claros actualmente; sin embargo, en un caso, se dice que el actor de amenazas aprovechó el acceso para implementar el asesino de detección y respuesta de endpoints (EDR) y luego volcar las credenciales de la memoria de proceso del Servicio del subsistema de la autoridad de seguridad local (LSASS), además de usar herramientas como NetExec para reconocimiento de redes y movimiento lateral.

Estas tácticas, según Huntress, se alinean con el comportamiento previo al ransomware o del corredor de acceso inicial, lo que sugiere que el actor de la amenaza busca implementar ransomware o monetizar el acceso vendiéndolo a otros actores criminales.

El ataque comienza cuando los usuarios buscan términos como «formulario fiscal W2» o «formulario fiscal W-9 2026» en motores de búsqueda como Google, engañándolos para que hagan clic en resultados de búsqueda patrocinados que dirigen a los usuarios a sitios falsos como «bringetax[.]com/humu/» para activar la entrega del instalador de ScreenConnect.

Además, la página de destino está protegida por un sistema de distribución de tráfico (TDS) basado en PHP y desarrollado por Adspect, un servicio de encubrimiento comercial, para garantizar que se muestre una página benigna a los escáneres de seguridad y los sistemas de revisión de anuncios, mientras que sólo las víctimas reales ven la carga útil real.

Esto se logra generando una huella digital del visitante del sitio y enviándola al backend de Adspect, que luego determina la respuesta adecuada. Además de Adspect, el «index.php» de la página de inicio presenta una segunda capa de encubrimiento impulsada por JustCloakIt (JCI) en el lado del servidor.

«Los dos servicios de encubrimiento están apilados en el mismo index.php: el filtrado del lado del servidor de JCI se ejecuta primero, mientras que Adspect proporciona huellas dactilares de JavaScript del lado del cliente como segunda capa», explicó Pham.

Las páginas web conducen a la distribución de instaladores de ScreenConnect, que luego se utilizan para implementar múltiples instancias de prueba en el host comprometido. También se ha descubierto que el actor de amenazas elimina herramientas adicionales de administración y monitoreo remoto (RMM), como FleetDeck Agent, para lograr redundancia y garantizar un acceso remoto persistente.

La sesión de ScreenConnect se aprovecha para colocar un cifrador de varias etapas que actúa como conducto para un asesino de EDR con nombre en código HwAudKiller que utiliza la técnica BYOVD para finalizar procesos asociados con Microsoft Defender, Kaspersky y SentinelOne. El controlador vulnerable utilizado en el ataque es «HWAuidoOs2Ec.sys», un controlador de kernel de Huawei legítimo y firmado diseñado para hardware de audio de portátiles.

«El controlador finaliza el proceso de destino desde el modo kernel, evitando cualquier protección del modo de usuario en la que se basan los productos de seguridad. Debido a que el controlador está firmado legítimamente por Huawei, Windows lo carga sin quejas a pesar de Driver Signature Enforcement (DSE)», señaló Huntress.

Ciberseguridad

El criptocriptador, por su parte, intenta evadir la detección asignando 2 GB de memoria, llenándola con ceros y luego liberándola, lo que provoca que los motores antivirus y emuladores fallen debido a la alta asignación de recursos.

Actualmente no se sabe quién está detrás de la campaña, pero un directorio abierto expuesto en la infraestructura controlada por el actor de amenazas ha revelado una página falsa de actualización de Chrome que contiene código JavaScript con comentarios en ruso. Esto alude a un desarrollador de habla rusa en posesión de un conjunto de herramientas de ingeniería social para la distribución de malware.

«Esta campaña ilustra cómo las herramientas basadas en productos básicos han reducido la barrera para ataques sofisticados», dijo Pham. «El actor de la amenaza no necesitaba exploits personalizados ni capacidades de estado-nación, combinaron servicios de encubrimiento disponibles comercialmente (Adspect y JustCloakIt), instancias ScreenConnect de nivel gratuito, un cifrador disponible en el mercado y un controlador Huawei firmado con una debilidad explotable para construir una cadena de eliminación de extremo a extremo que va desde una búsqueda en Google hasta la terminación EDR en modo kernel».

«Un patrón consistente entre los hosts comprometidos fue el rápido apilamiento de múltiples herramientas de acceso remoto. Después de que se estableció el relé ScreenConnect inicial, el actor de amenazas implementó instancias de prueba adicionales de ScreenConnect en el mismo punto final, a veces dos o tres en cuestión de horas, y herramientas RMM de respaldo como FleetDeck».